CISA تایید می کند که PHP2Shell تحت حمله قرار گرفته است زیرا محققان موفق به انجام اکسپلویت ها می شوند

ناظر امنیت سایبری دولت ایالات متحده تأیید کرده است که مهاجمان از هر دو آسیب‌پذیری مهم PHP2Shell سوء استفاده می‌کنند و به آژانس‌های فدرال سه روز فرصت می‌دهند تا باگ‌هایی را که در هفته گذشته در سراسر وب ویرانی ایجاد کرده‌اند برطرف کنند.

CISA روز دوشنبه CVE-2026-109618 و CVE-2026-109619 را به فهرست آسیب‌پذیری‌های شناخته شده (KEV) اضافه کرد و مهلتی را تا 29 اکتبر برای آژانس‌های غیرنظامی فدرال تعیین کرد تا به این نقص‌ها رسیدگی کنند. این حرکت نشان دهنده تغییری نسبت به هفته گذشته است، زمانی که آژانس در مورد خطر ناشی از PHP2Shell هشدار داد اما گفت که هنوز بهره برداری موفقیت آمیزی را در طبیعت مشاهده نکرده است.

هر دو باگ دارای رتبه 9.2 در مقیاس CVSS هستند و می‌توانند بدون احراز هویت برای اجرای کد روی سرورهای PHP آسیب‌پذیر مورد سوء استفاده قرار گیرند. این خبر بدی است با توجه به اینکه چقدر از وب هنوز به PHP متکی است و تعداد سایت هایی که ممکن است در معرض نمایش گذاشته شوند.

وصله ها در 21 اکتبر فرود آمدند، اما مهاجمان قبلا نگهبانان را شکست داده بودند. AWS در اوایل 17 اکتبر، چهار روز قبل از افشای عمومی اشکالات، تلاش‌هایی را برای بهره‌برداری از این نقص‌ها مشاهده کرد.

تایید CISA در حالی صورت می‌گیرد که شواهد فزاینده‌ای مبنی بر اینکه مهاجمان چیزی بیش از ضربه زدن به در انجام می‌دهند، صورت می‌گیرد.

در 24 اکتبر، عادل کریمی، محقق امنیتی Perplexity، 35 اجرای موفق پوسته را در سه هانی پات با PHP 8.4.26 تحت Apache mod_php ثبت کرد. این حملات از دو آدرس IP انجام شد و از تخلیه و افشای حافظه برای دستیابی به اجرای کد از راه دور استفاده کردند.

سپس مهاجمان سعی کردند با استفاده از PHP، curl و wget با سرورهای خارجی تماس بگیرند، اگرچه هیچ بدافزار اضافی با موفقیت دانلود نشد. یافته های کریمی با بهره برداری از CVE-2026-109618 مطابقت داشت، اما او هیچ مدرکی دال بر دخیل بودن دومین نقص PHP2Shell پیدا نکرد. او همچنین هشدار داد که هانی‌پات‌ها از پیکربندی مطلوب تک‌کاره‌ای استفاده می‌کنند، بنابراین نتایج لزوما نشان‌دهنده میزان قابل اعتماد بودن این اکسپلویت در برابر سرورهای تولید نیست.

با این حال، به نظر می رسد مهاجمان به خوبی به آن کمک می کنند. آزمایشگاه هوش تهدید دانشگاه دلفت بیش از 50000 درخواست بهره برداری PHP2Shell را از بیش از 600 آدرس IP در 70 کشور ردیابی کرده است. از این تعداد، 171 آدرس فراتر از بررسی سرورهای آسیب پذیر بوده و شروع به ارسال کد سوء استفاده یا حذف کننده های بدافزار کردند.

تایید CISA همچنین پس از آن صورت می‌گیرد که برخی از گزارش‌های قبلی از حملات موفقیت‌آمیز PHP2Shell نسبتا زودرس بودند. Sophos ارزیابی اولیه خود را پس از تعیین اینکه فعالیتی که مشاهده کرد معادل اسکن و تلاش‌های ناموفق است، عقب نشینی کرد، در حالی که شبکه‌های پالو آلتو ادعاهایی مبنی بر مرتبط کردن این آسیب‌پذیری‌ها به نفوذ در یک آژانس دولتی اروپایی را پس گرفت.

CISA فاش نکرده است که کدام سازمان ها در معرض خطر قرار گرفته اند یا جزئیاتی از حملات پشت تصمیم خود برای افزودن این نقص ها به KEV ارائه نکرده است. این فهرست تأیید می کند که آژانس هر دو آسیب پذیری را به طور فعال مورد سوء استفاده قرار می دهد، اما تأیید نمی کند که چه تعداد از سیستم های تولید با موفقیت نقض شده اند.

برای آژانس های فدرال، ساعت در حال حاضر در حال حرکت است. CISA همچنین از سازمان‌های خارج از دولت فدرال می‌خواهد تا اصلاحات را در اولویت قرار دهند، اگرچه این مهلت برای آنها اعمال نمی‌شود.

ادمین ها باید بسته به شاخه انتشار خود به PHP 8.5.12، 8.4.27، 8.3.36 یا 8.2.35 به روز رسانی کنند. کسانی که نسخه‌های قدیمی‌تر و پشتیبانی‌نشده را اجرا می‌کنند، با دردسر اضافه ارتقا یا دریافت راه‌حل‌های پشتیبانی شده توسط فروشنده مواجه می‌شوند، در حالی که سیستم‌هایی که نمی‌توانند ایمن شوند باید تا زمانی که خطر برطرف نشود، آفلاین شوند.

و با توجه به اینکه CISA اکنون به طور رسمی بهره برداری را تأیید می کند، هر کسی که هنوز منتظر اثبات بیشتر قبل از وصله است ممکن است کمی بیش از حد منتظر باشد. ®